El nuevo Reglamento entrará en vigor el próximo 19 de abril y ninguna empresa se librará de tener que implantar en su organización las medidas de seguridad.
Aviso a navegantes: falta menos de un mes para que el Reglamento que desarrolla la Ley Orgánica de Protección de Datos entre en vigor. Comienza pues, la marcha atrás para incorporar la batería de medidas que serán de obligado cumplimiento a partir del 19 de abril. Aunque el nuevo texto contiene un régimen transitorio que dará un respiro a las empresas permitiéndoles adaptarse a las nuevas exigencias paulatinamente, no hay tiempo que perder.
Esta normativa, que persigue el objetivo de establecer un control sobre el uso de los datos de carácter personal de los ciudadanos, trae de cabeza a las empresas de todo tipo y tamaño que tendrán que hacer un importante esfuerzo de reorganización a fin de cumplir estrictamente con la regulación e incorporar las medidas de seguridad detalladas en el Reglamento.
A grandes rasgos, las principales recomendaciones que hacen los expertos consisten en revisar los niveles de seguridad de los ficheros ya declarados, para implementar las medidas adecuadas de acuerdo con la nueva calificación que en su caso proceda, establecer un plan de acción concreto para identificar ficheros no declarados y así proceder a su declaración antes de que entre en vigor el nuevo Reglamento, y tener en cuenta las medidas de seguridad que se han establecido para los ficheros no automatizados (es decir, los ficheros “en papel”) con el objetivo de ir cumpliendo con los controles de seguridad previstos.
Pero, ¿en qué medida incide el nuevo Reglamento en cada sector empresarial? Las medidas alcanzan a la organización interna de todo tipo de empresas en tareas tan habituales como, por ejemplo, la clasificación de ficheros de nóminas o la creación de listados de clientes. Pero, más allá de lo que afecta a todas las organizaciones en su día a día, sobre todo lo recogido en los artículos del 1 al 23 del texto, referentes a los principios de la protección de datos y lo relativo a las medidas de seguridad, el Reglamento incluye algunas exigencias que atañen especialmente a determinados sectores. En determinadas actividades, una adecuada gestión en materia de protección de datos puede suponer un importante ahorro de miles de euros en multas de la Agencia Española de Protección de Datos. Veamos cómo incide en cada caso.
Telecomunicaciones
El sector de las telecomunicaciones lidera el ranking de multas de la Agencia Española de Protección de Datos. Por ello, la nueva regulación no les pille desprevenidos y en su mayoría ya se han puesto manos a la obra.
El Reglamento clasifica como de nivel alto los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto de los datos de tráfico y de localización.
A las exigencias del nuevo Reglamento hay que añadir las que ha planteado a este sector la reciente aprobación de la Ley de Conservación de Datos relativos a las comunicaciones electrónicas, publicada en el Boletín Oficial del Estado el pasado 19 de octubre, cuyas medidas deberán empezar a implantarse el próximo mes de mayo, después de la moratoria de seis meses establecida en la Ley.
Al igual que el Reglamento de Protección de Datos, esta normativa conlleva un importante esfuerzo por parte de las compañías de telecomunicaciones a la hora de incorporar los nuevos sistemas y mecanismos que les permitan registrar y almacenar los datos exigidos durante un período de un año. Para ello, las empresas no han recibido ningún tipo de subvención estatal, pese a que la finalidad de la Ley es ofrecer al Estado un servicio que les permita consultar las bases de datos de las comunicaciones electrónicas en el marco ce la lucha contra el crimen organizado.
Según Álvaro del Hoyo, consultor senior y responsable de Derecho y nuevas tecnologías de S21sec, empresa especializada en seguridad digital, en otros países de la Unión Europea, como Reino Unido o Francia, el Estado está facilitando una serie de subvenciones a las telecos por ofrecer estos servicios adicionales requeridos a través de una directiva comunitaria. Este experto, especializado en ayudar a las empresas a cumplir con las normativas de seguridad electrónica, considera que lo justo hubiera sido que el Estado aportara algún tipo de ayuda para la puesta a punto de la Ley.
Banca
Las medias de seguridad del Reglamento afectan también notablemente al sector financiero, acostumbrado a afrontar significativas sanciones de la Agencia.
El texto incide de forma especial en los ficheros de información sobre solvencia patrimonial y crédito, a los que dedica un capítulo en el Título IV. Esta parte del Reglamento, en la que se especifican las condiciones para la inclusión en una lista de morosos, ha sido motivo de duras críticas. De hecho, según ha podido saber elEconomista, la Asociación Nacional de Créditos (Asnef) va a recurrir el Reglamento (para hacerlo tiene de plazo hasta el próximo 19 de abril), ya que considera que el capítulo que se refiere a los ficheros de solvencia patrimonial y de crédito anula casi por completo toda la eficacia de este tipo de registros y su finalidad legítima.
“Software”
Aunque para muchos ha pasado desapercibido, la nueva regulación incluye una disposición adicional única en la que se refiere exclusivamente a los productos de software. Las compañías dedicadas a este sector han de saber que “los productos de software destinados al tratamiento automatizado de datos personales deberán incluir en su descripción técnica el nivel de seguridad, básico, medio o alto, que permitan alcanzar”, de acuerdo con lo establecido en el texto reglamentario.
No obstante, las empresas de software ven el Reglamento como una oportunidad de negocio más que como una carga, ya que les abre un mercado en el que podrán comercializar productos destinados a la aplicación de las nuevas medidas de seguridad, tal y como reconoce José Manuel Peláez, director de seguridad de Oracle.
Publicidad y marketing
En lo que respecta a las actividades de publicidad y prospección comercial, se ha regularizado de forma expresa la subcontratación de servicios, permitiéndose con algunos requisitos. Las personas de las que se recaben datos para la realización de acciones de publicidad y prospección comercial, deben facilitar su consentimiento para determinadas finalidades, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.
Queda regulada también la contratación de los servicios para la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos a un tercero en determinados casos: cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que la contrate, ésta será responsable del tratamiento de los datos; cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsables del tratamiento; cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento.
Por otra parte, será obligatorio el consentimiento del afectado para que los responsables de distintos ficheros puedan cruzar sus datos para promocionar o comercializar productos o servicios y se regulan las denominadas “listas de exclusión” o “listas Robinson” para que cualquier afectado, que obligatoriamente deber ser informado de su existencia, pueda comunicar al responsable de un fichero que no desea recibir publicidad. Estas listas serán de obligada consulta previa por parte de quienes realicen actividades de publicidad o prospección comercial.
Medidas de seguridad
Se podría decir que lo fundamental a tener en cuenta, con carácter general, del nuevo Reglamento son las medidas de seguridad, donde se incorporan algunas de las principales novedades. Así, pasan de un nivel básico de seguridad al nivel medio los ficheros de las Entidades Gestoras y Servicios Comunes de la Seguridad Social que tengan relación con sus competencias y las mutuas de accidentes de trabajo y de enfermedades profesionales de la Seguridad Social, y desaparece el nivel “básico cualificado –Medio atenuado” relativo a los ficheros que contienen datos personales sobre características o personalidad de los afectados, que permitan deducir su comportamiento, pasando a ser de nivel medio. Desde el nivel alto todos los datos derivados de la violencia de género.
De igual modo, una de las novedades más relevantes para las empresas es la disminución del nivel de seguridad, de alto a bajo, en lo relativo a ficheros o tratamientos de datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual cuando los datos se utilicen con la única finalidad de realizar una transferencia dineraria a las entidades de las que los afectados sean asociados o miembros (por ejemplo el pago de la cuota sindical a través de la nómina); cuando se trate de ficheros o tratamientos no automatizados en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relación con su finalidad; o en los ficheros o tratamientos que contengan datos relativos a la salud, referentes exclusivamente al grado de discapacidad o la simple declaración de la condición de discapacidad o invalidez del afectado, con motivo del cumplimiento de deberes públicos.
En los ficheros no automatizados, se regulan los dispositivos de almacenamiento y custodia de documentos. Se exige la aplicación de unos criterios de archivo que garanticen la correcta conservación de los documentos. Los armarios, archivadores y demás elementos de almacenamiento, deberán disponer de mecanismos adecuados de cierre (llave) que impidan el acceso a personas no autorizadas.
Mientras esa documentación no esté archivada, la persona que esté a su cargo deberá custodiarla. Cuando estos ficheros contengan datos clasificados de nivel alto, deberán estar en áreas cerradas con el dispositivo de seguridad pertinente.
Fuente: www.belt.es
Escríbenos por WhatsApp